darknet-mcp-server

传统暗网情报工作流：
  检查泄露暴露                ->  HIBP 网页界面（付费 API）
  搜索泄露凭证                ->  IntelligenceX 网页界面
  追踪勒索软件组织             ->  ransomware.live + ransomlook.io（2 个独立界面）
  访问 .onion 隐藏服务        ->  手动使用 Tor 浏览器
  分析恶意软件样本             ->  Hybrid Analysis + MalwareBazaar（又 2 个界面）
  检查 IP 滥用历史            ->  AbuseIPDB + GreyNoise（又 2 个界面）
  追踪加密货币                ->  blockchain.info + ChainAbuse
  搜索漏洞利用                ->  Vulners 网页界面
  检查钓鱼 URL               ->  PhishTank 网页界面
  关联所有信息                ->  复制粘贴到报告中
  ────────────────────────────────
  总计：每次调查 60+ 分钟，大部分时间在切换上下文

使用 darknet-mcp-server：
  您："调查 target.com 的泄露暴露和威胁态势"

  代理：-> HIBP：3 次已知泄露（Adobe 2013、LinkedIn 2021、Collection #1）
        -> ThreatFox：2 个与该域名关联的 IOC（C2 回调、钓鱼）
        -> URLhaus：子域名上托管的 1 个恶意 URL
        -> 勒索软件：未发现受害者列表（好消息）
        -> 窃密日志：发现 47 个被盗员工凭证
        -> OTX：5 个引用该域名的威胁脉冲
        -> AbuseIPDB：主 IP 有 12 条滥用报告（暴力破解）
        -> "target.com 涉及 3 次数据泄露，暴露了 210 万条记录。
           窃密日志中发现 47 个员工凭证 — 建议立即
           重置密码。2 个活跃的 ThreatFox IOC 表明
           正在遭受持续攻击。未发现勒索软件列表，但主 IP
           的滥用报告值得调查。"

npx darknet-mcp-server

git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

# 泄露与凭证情报
export HIBP_API_KEY=your-key           # 启用泄露账户搜索和粘贴搜索
export INTELX_API_KEY=your-key         # 启用 4 个 IntelligenceX 工具

# 威胁情报
export OTX_API_KEY=your-key            # 提高 AlienVault OTX 速率限制
export ABUSEIPDB_API_KEY=your-key      # 启用 4 个 AbuseIPDB 工具
export ABUSECH_AUTH_KEY=your-key       # 提高 abuse.ch 套件的速率限制
export PULSEDIVE_API_KEY=your-key      # 提高 Pulsedive 速率限制

# 窃密日志与凭证
export HUDSONROCK_API_KEY=your-key     # 启用 3 个 Hudson Rock 窃密日志工具

# 漏洞利用与恶意软件分析
export VULNERS_API_KEY=your-key        # 启用 Vulners 搜索和漏洞利用工具
export HYBRID_API_KEY=your-key         # 启用 3 个 Hybrid Analysis 恶意软件工具

# 钓鱼
export PHISHTANK_API_KEY=your-key      # 提高 PhishTank 速率限制

# Tor SOCKS5 代理（用于 .onion 访问）
export TOR_SOCKS_HOST=127.0.0.1       # 默认：127.0.0.1
export TOR_SOCKS_PORT=9050            # 默认：9050

# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# 验证连接
npx darknet-mcp-server --check-tor

您："检查 example.com 是否有数据泄露记录，并查找窃密日志"

您："检查 example.com 是否有数据泄露"

代理：-> breachList {domain: "example.com"}
      -> breachSearch {account: "[email protected]"}
      -> stealer_domain {domain: "example.com"}
      -> intelx_search {term: "example.com"}
      -> "example.com 出现在 5 次已知泄露中：
         - ExampleDB 2023：420 万条记录（邮箱、密码、IP）
         - Collection #1：撞库攻击列表
         - Combolist 2024：89 万个邮箱:密码对
         窃密日志：Hudson Rock 数据库中发现 23 台被入侵机器
         保存了 example.com 的凭证。
         IntelligenceX：在粘贴网站和暗网中找到 47 条结果。"

您："哪些勒索软件组织在针对医疗行业？"

代理：-> ransomwareBySector {sector: "healthcare"}
      -> ransomwareRecent {}
      -> ransomlookRecent {}
      -> "医疗行业勒索软件活动：
         过去 12 个月共 142 个受害者，涉及 12 个组织。
         主要组织：LockBit3（38 个受害者）、BlackCat/ALPHV（24 个）、
         Cl0p（19 个）、Royal（15 个）。
         最近：MedCorp Inc. 被 LockBit3 列出（2 天前）。
         过去一周在 ransomware.live 和 RansomLook 信息流中
         新增 3 个医疗行业受害者。"

您："在 .onion 网站上搜索有关我们公司的提及"

代理：-> tor_search_onion {query: "AcmeCorp"}
      -> intelx_search {term: "acmecorp.com"}
      -> onion_lookup {address: "relevant-onion-address.onion"}
      -> "AcmeCorp 暗网搜索结果：
         Ahmia.fi：3 个 .onion 页面提及 AcmeCorp
         - 论坛帖子讨论 AcmeCorp 员工名单（泄露论坛）
         - 市场上架 AcmeCorp 数据库（未验证）
         - 博客文章引用 AcmeCorp 泄露事件
         IntelligenceX：粘贴网站上有 12 条结果
         建议：调查论坛帖子和市场列表，
         了解是否存在活跃的数据销售。"

您："分析此文件哈希的恶意软件指标：abc123def456..."

代理：-> malware_search {hash: "abc123def456..."}
      -> malware_overview {sha256: "abc123def456..."}
      -> bazaarHash {hash: "abc123def456..."}
      -> threatfoxSearch {searchTerm: "abc123def456..."}
      -> otx_hash {hash: "abc123def456..."}
      -> "abc123def456 恶意软件分析：
         Hybrid Analysis：恶意（威胁评分 95/100）
         - 家族：AgentTesla（信息窃取器）
         - MITRE ATT&CK：T1555（凭证访问）、T1071（C2）
         - 网络 IOC：3 个 C2 域名、2 个 IP
         MalwareBazaar：首次发现 2024-03-15，标记为 'AgentTesla'
         ThreatFox：2 个 IOC 条目关联到同一攻击活动
         OTX：在 4 个威胁脉冲中被引用"

# 列出所有可用工具
npx darknet-mcp-server --list

# 检查 Tor SOCKS5 代理连接
npx darknet-mcp-server --check-tor

# 直接运行任意工具
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# 需要 API 密钥的工具
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

src/
  index.ts                # CLI 入口（--help、--list、--check-tor、stdio 服务器）
  protocol/
    mcp-server.ts         # MCP 服务器设置（stdio 传输）
    tools.ts              # 工具注册表 — 所有 66 个工具在此组装
  types/
    index.ts              # 共享类型（ToolDef、ToolContext、ToolResult）
  utils/
    rate-limiter.ts       # 每个提供者的速率限制器
    cache.ts              # API 响应的 TTL 缓存
    tor-fetch.ts          # Tor SOCKS5 代理 HTTP 客户端
    require-key.ts        # API 密钥验证助手
  tor/                    # Tor 网络工具 (7)
  ransomware/             # 勒索软件情报工具 (9)
  breach/                 # HIBP 泄露工具 (7)
  abusech/                # ThreatFox + URLhaus + MalwareBazaar 工具 (9)
  otx/                    # AlienVault OTX 工具 (5)
  abuseipdb/              # AbuseIPDB 工具 (4)
  greynoise/              # GreyNoise 社区版工具 (2)
  pulsedive/              # Pulsedive 工具 (3)
  hudsonrock/             # Hudson Rock 窃密日志工具 (3)
  vulners/                # Vulners 漏洞利用工具 (3)
  blockchain/             # 区块链情报工具 (4)
  hybrid/                 # Hybrid Analysis 恶意软件工具 (3)
  onionlookup/            # CIRCL 洋葱查询工具 (1)
  intelx/                 # IntelligenceX 工具 (4)
  phishing/               # PhishTank 工具 (1)
  meta/                   # Meta 工具 (1)